2.2.2. 認証情報要求リソースの抽出と準備

手順

1. 次のコマンドを実行して、適用する更新のプル仕様を取得します。

   $ oc adm upgrade

   このコマンドの出力には、次のような利用可能な更新のプル仕様が含まれます。

   部分的な出力例

   ...
   Recommended updates:
   
   VERSION IMAGE
   4.20.0  quay.io/openshift-release-dev/ocp-release@sha256:6a899c54dda6b844bb12a247e324a0f6cde367e880b73ba110c056df6d018032
   ...

2. 次のコマンドを実行して、使用するリリースイメージを $RELEASE_IMAGE 変数に設定します。

   $ RELEASE_IMAGE=<update_pull_spec>

   <update_pull_spec> は、使用するリリースイメージのプル仕様です。以下に例を示します。

   quay.io/openshift-release-dev/ocp-release@sha256:6a899c54dda6b844bb12a247e324a0f6cde367e880b73ba110c056df6d018032

3. 以下のコマンドを実行して、OpenShift Container Platform リリースイメージから CredentialsRequest カスタムリソース (CR) のリストを抽出します。

   $ oc adm release extract \
     --from=$RELEASE_IMAGE \
     --credentials-requests \
     --included \

   1

   
     --to=<path_to_directory_for_credentials_requests> 

   2

   1

   --included パラメーターには、ターゲットリリースに特定のクラスター設定が必要とするマニフェストのみが含まれます。

   2

   CredentialsRequest オブジェクトを保存するディレクトリーへのパスを指定します。指定したディレクトリーが存在しない場合は、このコマンドによって作成されます。

   このコマンドにより、それぞれの CredentialsRequest オブジェクトに YAML ファイルが作成されます。

4. リリースイメージの各 CredentialsRequest について、spec.secretRef.namespace フィールドのテキストと一致するネームスペースがクラスターに存在することを確認します。このフィールドには、クレデンシャルの設定を保持する生成されたシークレットが保存されます。

   サンプル AWS CredentialsRequest オブジェクト

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: cloud-credential-operator-iam-ro
     namespace: openshift-cloud-credential-operator
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: AWSProviderSpec
       statementEntries:
       - effect: Allow
         action:
         - iam:GetUser
         - iam:GetUserPolicy
         - iam:ListAccessKeys
         resource: "*"
     secretRef:
       name: cloud-credential-operator-iam-ro-creds
       namespace: openshift-cloud-credential-operator 

   1

   1

   このフィールドは、生成されたシークレットを保持するために存在する必要がある namespace を示します。

   他のプラットフォームの CredentialsRequest CR も同様の形式ですが、プラットフォーム固有の異なる値があります。

5. クラスターが spec.secretRef.namespace で指定された名前の namespace をまだ持っていない CredentialsRequest CR には、次のコマンドを実行して namespace を作成します。

   $ oc create namespace <component_namespace>